Laravel中间件构造函数不能接收路由参数，所有动态值必须通过handle()方法第三个字符串参数传入；正确写法为CheckRole::class . ':admin,editor'，错误写法如"App\Http\Middleware\CheckRole::class:admin"。
中间件构造函数不能接收路由参数或动态值，所有参数必须通过 handle() 方法的第三个参数传入，且只能是字符串形式——这是 Laravel 路由级参数传递的硬性限制。
middleware() 中拼接 FQCN + 参数的写法必须用字符串连接
你不能把 ::class 和参数写在同一个引号里，比如 "App\Http\Middleware\CheckRole::class:admin"，这会被 PHP 当作纯字符串，Laravel 完全不会解析类名。
- ✅ 正确：使用点号拼接
CheckRole::class . ':admin,editor' - ❌ 错误：
"App\Http\Middleware\CheckRole::class:admin"或CheckRole::class(':admin') - 参数部分始终是字符串，即使写成
':1,true'，handle()接收到的也是"1,true"，需手动explode(',', $parameters) - 若中间件已在
app/Http/Kernel.php中注册别名（如'role' => \App\Http\Middleware\CheckRole::class），优先用'role:admin'更清晰
handle() 方法里怎么安全处理多参数
handle() 的第三个参数 $parameters 类型是 string，不是数组——Laravel 不会自动拆分，除非你用的是已注册的别名且该中间件逻辑里做了 explode()。FQCN 方式下，这个字符串就是完整冒号后的内容。
- 例如
CheckRole::class . ':admin,super-admin,viewer'→$parameters === "admin,super-admin,viewer" - 推荐统一用
array_filter(explode(',', $parameters))防空格干扰 - 避免在参数里用逗号、空格、冒号；必须用时改用竖线
|分隔，并在中间件内自定义解析逻辑 - 不要依赖类型自动转换：
'true'不等于true，'1'不等于1，需显式filter_var($param, FILTER_VALIDATE_BOOLEAN)或(int)$param
构造函数里塞参数一定会报错
哪怕只是加一个 string $role 到 __construct()，Laravel 容器在解析中间件时找不到注入源，就会抛出类似 Target [string] is not instantiable 的反射异常。
- 构造函数只应放容器能自动解析的依赖，如
Guard $auth、Request $request（但注意：此时$request还未绑定路由参数） - 所有动态值（路由 ID、查询参数、用户输入）必须从
$request->route()?->parameter('id')或$request->query('foo')拿 - 如果真需要“带参实例化”，改用闭包中间件 +
app(YourMiddleware::class, ['role' => 'admin'])手动解析
想把中间件查的数据传给控制器？往 request attributes 里塞
中间件和控制器共享同一个 $request 实例，所以最轻量、最直接的方式是往 $request->attributes 写值，控制器里直接读。
- 中间件中：
$request->attributes->set('page', $page) - 控制器中：
$request->attributes->get('page')或$request->get('page') - 不要用
$request->merge()，它会覆盖原始请求数据（如$_POST），且在 Laravel 10+ 中已被标记为 legacy - 这个方式不依赖 session、不跨请求，适合单次生命周期内传递模型、配置、计算结果等上下文数据
真正容易被忽略的是：FQCN + 参数写法虽然灵活，但它绕过了中间件别名注册机制，也就失去了 $middlewarePriority 控制和全局调试钩子；一旦项目变大，混用别名与 FQCN 会让中间件执行顺序变得难以追踪。
